eMudhra-Sicherheitsvorfall: Kompromittierte Zertifikate gefährden HTTPS-Verbindungen

Dieser Artikel wurde bereits 12x gelesen...

Ein schwerwiegender Sicherheitsvorfall bei der Zertifizierungsstelle eMudhra erschüttert das Vertrauen in digitale Zertifikate. Acht Zwischenzertifikate waren mit extrem schwachen privaten Schlüsseln ausgestattet. Damit konnten Angreifer theoretisch gültige HTTPS-Zertifikate für beliebige Internetseiten erstellen. Browserhersteller haben bereits reagiert – für IT-Administratoren besteht dennoch Handlungsbedarf.

Am 17. Oktober 2026 wurde bekannt, dass acht sogenannte Intermediate-CA-Zertifikate der indischen Zertifizierungsstelle eMudhra unsichere private Schlüssel verwendeten.

Die Ursache war offenbar ein schwerwiegender Fehler bei der Schlüsselerzeugung im April 2025. Statt ausreichend zufälliger kryptografischer Schlüssel wurden Werte mit lediglich acht Bit Entropie verwendet.

Das bedeutet: Die privaten Schlüssel konnten durch das Ausprobieren von maximal 256 Möglichkeiten berechnet werden.

Sechs der betroffenen Zwischenzertifikate waren für TLS-Verbindungen vorgesehen, zwei weitere für Codesignaturen.

Digitale Zertifikate bilden die Grundlage verschlüsselter Kommunikation im Internet. Sie bestätigen unter anderem, dass eine HTTPS-Verbindung tatsächlich mit dem gewünschten Server hergestellt wird.

Mit den kompromittierten Schlüsseln konnten Angreifer Zertifikate für beliebige Domains erzeugen und damit grundsätzlich vertrauenswürdige Webseiten imitieren.

Mögliche Folgen bei erfolgreichen Man-in-the-Middle-Angriffen:

• Abfangen vertraulicher Kommunikation
• Manipulation übertragener Daten
• Imitation von Behördenportalen und Onlinediensten
• Gefährdung von API-Verbindungen und Webservices
• Missbrauch digitaler Vertrauensbeziehungen

Für einen erfolgreichen Angriff wäre zusätzlich die Umleitung oder Kontrolle der Netzwerkverbindung erforderlich. Ein gefälschtes Zertifikat allein genügt dafür nicht.

Mozilla und Google reagierten bereits am 17. Oktober mit Sperrmaßnahmen für die betroffenen Zwischenzertifikate.

Mozilla veröffentlichte zusätzlich Firefox 158.0.1 sowie aktualisierte ESR-Versionen. Auch das Root-Zertifikat „emSign ECC Root CA – G3“ wird aus den entsprechenden Vertrauenslisten entfernt.

Google blockierte die betroffenen Schlüssel über seine CRLSet-Infrastruktur und kündigte ebenfalls die Entfernung des Root-Zertifikats aus dem Chrome Root Store an.

Besonders wichtig: Die Browsermaßnahmen schützen viele Anwender bereits automatisch. Andere Programme verwenden jedoch eigene Zertifikatsspeicher oder überprüfen gesperrte Zertifikate nicht ausreichend.

Nach Angaben von eMudhra waren die privaten Schlüssel der Root-Zertifizierungsstellen nicht kompromittiert. Auch wurden nach bisherigen Erkenntnissen keine regulären Endnutzerzertifikate durch die betroffenen Zwischenzertifikate ausgestellt.

Der Vorfall trägt die Kennung CVE-2026-111943.

Quellen und weiterführende Informationen

• Der Mittel – eMudhra-Vorfall: Kompromittierte Wurzelzertifikate
• Mozilla Security Blog – Sicherheitsmaßnahmen für Firefox
• Google Security Blog – Maßnahmen für Chrome und Android
• eMudhra – Offizielle Stellungnahme
• Golem.de – Kompromittierte Schlüssel gefährden TLS-Verbindungen

„`